PT-2026-127218
CVE-2026-116685
·
تاريخ النشر
2026-10-27
·
تاريخ التحديث
2026-10-27
الوصف من
CVSS 3.1
5.9
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Model Context Protocol Python SDK الإصدارات من 1.8.0 إلى 1.29.1
Model Context Protocol Python SDK الإصدارات من 2.0.0 إلى 2.1.1
Description
تقوم بعض مسارات العميل في SDK باتباع عمليات إعادة التوجيه HTTP إلى أصول مختلفة، مما قد يؤدي إلى كشف معلومات حساسة. وتحديداً، عند استخدام
streamable http client أو streamablehttp client أو sse client أو ClientSessionGroup أو OAuth أو المساعد create mcp http client ، يقوم SDK بتمرير رؤوس الاعتمادات المخصصة التي يوفرها المستدعي إلى وجهة إعادة التوجيه. بالإضافة إلى ذلك، بالنسبة لاستجابات HTTP 307 أو 308، يتم تمرير جسم الطلب أيضاً. يمكن للمهاجم الذي يستطيع التأثير على وجهة إعادة التوجيه لنقطة نهاية موثوقة التقاط هذه الاعتمادات وأجسام الطلبات.Recommendations
تحديث Model Context Protocol Python SDK إلى الإصدار 1.30.0 أو أحدث بالنسبة للفرع 1.x.
تحديث Model Context Protocol Python SDK إلى الإصدار 2.2.0 أو أحدث بالنسبة للفرع 2.x.
كإجراء تخفيف مؤقت، قم بتوفير عميل HTTP مخصص مع تعيين المعلمة
follow redirects على القيمة False عند استخدام streamable http client (عبر http client) أو sse client و streamablehttp client (عبر httpx client factory).
قم بتغيير أي اعتمادات قد تكون كُشفت إذا كان العميل قد اتبع سابقاً عملية إعادة توجيه إلى مضيف غير موثوق. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾